Маршрутизатордағы VPN ережелері: дереккөз бен межені сәйкестендіріңіз

Маршрутизатор сатып алу беттері VPN бағдарлауды бір құсбелгі ретінде көрсетеді, ал бұл тіркес үш түрлі сұрақты жасырады. Ереже трафикті жіберетін құрылғыға, оны қабылдайтын серверге немесе екеуіне де сәйкес пе? Ешқайсысына сәйкес келмейтін трафикке не болады? Ал екі ереже қабаттасқанда қайсысы жеңеді? Жауапты дереккөз бен меже жұбы ретінде жазу бұлыңғыр мүмкіндіктер тізімін тексеруге болатын дизайнға айналдырады.

Мүмкіндік атауы екі ұшты жасырады

Туннельді пайдалануы тиіс медиа ойнатқыш — дереккөз сәйкестігі. Туннель арқылы қолжетімді болуы тиіс жеке кеңсе префиксі — меже сәйкестігі. Туннельді тек бір қызмет үшін пайдалануы тиіс жұмыс станциясы — екеуі де, және сол қиылысу тұтынушылық микробағдарламаның көбі нашар шешетін жағдай.

Өнімдерді салыстырмас бұрын талапты жұп ретінде жазыңыз. Кейін тексеретін нәрсе — сол жұп.

Құрылғылар тізімін немесе жаһандық межелер тізімін ұсынатын өнім «тек осы құрылғы, тек осы межелер» деп айта алмауы мүмкін. Бұл айырмашылық сыртқы емес: жаһандық меже ережесі сол сайтқа барлық құрылғының трафигін туннель арқылы жібереді, ал құрылғы ережесі сол құрылғының барлық трафигін жібереді. Ешқайсысы талап емес. Экранға сенбес бұрын бұл жағдайды екі құрылғымен тексеріңіз.

Ережені қиылысу ретінде құрыңыз

Кесте дизайнды адал ұстайды. Сценарийді сол жаққа қойыңыз, содан кейін жіберуші сәйкестігі мен мақсат сәйкестігін бөлек атаңыз:

Үшінші жол қызық, өйткені оған екі жарты бірдей қажет. Егер микробағдарлама тек бір осьті білдіре алса, талапты екі ережеге бөлу немесе мұны істей алатын құрылғыға көшіру керек.

Дереккөз бірегейлігін тұрақты ұстаңыз. DHCP резервтеу, арнайы сегмент немесе құрылғы бірегейлігі механизмі жұмыс істейді, бірақ жалдау мерзімі біткеннен кейін өзгеретін мекенжай жұмыс істемейді. IPv6 қосыңыз, өйткені бір IPv4 мекенжайы құрылғының бүкіл трафигін анықтамайды.

Қабаттасуды басымдық шешеді

Ережелердің қабаттасуы қалыпты. Кең құрылғы ережесі мен тар меже ережесі бір ағынды сипаттай алады, ал құжатталған басымдық тәртібі қайсысы жеңетінін шешеді. Тартымды параметрлер экраны бұл тәртіпті айтпайды.

Тәртіп пен сәйкессіздік жағдайы туралы нұсқаулықты оқып, содан кейін екеуін де байқауға болатын трафикпен тексеріңіз:

ip rule show
ip route get 203.0.113.10

Егер құжаттама тәртіпті көрсетпесе, тар ереже жеңбеуі мүмкін деп есептеп, соған қарай жобалаңыз. Қайшылыққа түсе алмайтын екі ережені қолдау басымдығы құжатталмаған бір ақылды ережеден оңай.

Атауларға жаңарту саясаты қажет

Домен ретінде жазылған межеге техникалық қызмет мәселесі қосылады. Маршрутизатор оны шешуі, салыстыруды жаңартуы, бірнеше мекенжай мен субдоменді өңдеуі және күтілетін шешушіні айналып өтетін қолданба DNS-імен айналысуы керек.

Бір іздеу нәтижесін IP ережесіне көшіру — сурет, домен саясаты емес.

Ереже қате болмас бұрын жауап қаншалықты ескіруі мүмкін екенін және шешу сәтсіз болғанда маршрутизатор не істейтінін шешіңіз. Соңғы белгілі мекенжайды сақтайтын ереже қызмет көшіруінен өтуі мүмкін; жазбаны тастайтын ереже туннельдеуді үнсіз тоқтатуы мүмкін. Екі мінез-құлық та ереженің жанында жазылса, қолайлы.

Қолжетімсіз күйді анықтаңыз

Маршрут басымдығы тек VPN трафигін міндеттемейді. Туннель өшіп тұрғанда маршрутизатор ағынды бөгей алады, тікелей жібере алады немесе басқа туннельді пайдалана алады, және әр таңдаудың сәтсіздік белгісі басқа.

Талапқа қайсысы қажет екенін шешіңіз, содан кейін туннельді тоқтатып, ағынды бақылау арқылы оны тексеріңіз:

curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10

Маршрутизатордың өзінен шығатын трафик — жеке ая. DNS жіберу, жаңартуларды тексеру және мониторинг құрылғының дереккөз сәйкестігін мұра етудің орнына маршрутизатордан жаңа ағындар бастай алады. Бұл ағындарды анық есепке алыңыз, әйтпесе олар журналдарда түсіндірілмеген ағып кету ретінде көрінеді.